当一份规范躺在文档里时，它只是"应该如此"；当一行报文被捕获下来时，它才是"事实如此"。本期实测聚焦 Claude Code 生态中真正能"让网络开口说话"的一类技能——报文取证（PCAP）与安全威胁分析引擎。这组技能横跨 5G 核心网协议调测、报文构造与重放、应用层威胁建模、代码安全所有权治理四大场景，与此前评测过的"规范即知识（读规范）""告警即闭环（看监控）""工单即执行（接系统）"形成清晰分层：前者读纸面、看大盘，本期则直接落到字节级证据。我们实测了 pcap-analyzer、pcap-generator、pcap-modifier、security-threat-model、security-ownership-map、security-best-practices 六款引擎，并旁及 free5gc、UERANSIM 两个实现层知识库，从功能完整度、上手难度、变现潜力、训练营适用性、社区活跃度五个维度给出结论。
| 维度 | 权重 | 评价标准 |
|---|---|---|
| 功能完整度 | 25% | 是否开箱即用？协议/语言覆盖是否齐全？输出是否可直接交付？ |
| 上手难度 | 20% | 学习曲线如何？是否需要协议或安全前置基础？ |
| 变现潜力 | 25% | 能否改造成付费服务/产品？B2B/B2C 定价空间？ |
| 训练营适用性 | 15% | 能否用于教学？实验周期？造题/演练成本？ |
| 社区活跃度 | 15% | 上游生态（tshark/git/OWASP）依赖度、本体更新频率 |
| 技能 | 功能完整度 | 上手难度 | 变现潜力 | 训练营适用性 | 社区活跃度 | 综合分 |
|---|---|---|---|---|---|---|
| pcap-analyzer | ★★★★★ | ★★★☆ | ★★★★★ | ★★★★★ | ★★★☆ | 9.3 |
| security-threat-model | ★★★★☆ | ★★★☆ | ★★★★★ | ★★★★★ | ★★★☆ | 9.1 |
| security-best-practices | ★★★★☆ | ★★★★★ | ★★★★☆ | ★★★★☆ | ★★★☆ | 8.6 |
| security-ownership-map | ★★★★☆ | ★★★☆ | ★★★★☆ | ★★★☆ | ★★☆ | 8.0 |
| pcap-generator | ★★★★☆ | ★★★☆ | ★★★☆ | ★★★★☆ | ★★☆ | 7.6 |
| pcap-modifier | ★★★☆ | ★★★☆ | ★★★☆ | ★★★☆ | ★★☆ | 7.2 |
注：上手难度五星代表"门槛最低、最易上手"，与其它维度方向一致。
来源/安装：脱胎于 my-claude-skills/pcap-analyzer 路线（社区亦见 sandbornm/my-claude-skills），本仓库内置。核心能力是：以 TShark 为后端引擎，接受自然语言查询（"分析这次注册失败的原因""PDU 会话为什么没建起来"），对 .pcap/.pcapng 做深度解析。协议覆盖是它真正的护城河——5G 核心网全栈 NGAP、5G-NAS、PFCP、GTP、Diameter，以及 IMS 域的 SIP/SDP，能把"注册流程、PDU 会话建立、切换流程"这些 3GPP 信令序列翻译成可读结论。
评分：功能 ★★★★★ / 上手 ★★★☆ / 变现 ★★★★★ / 训练营 ★★★★★ / 社区 ★★★☆。
变现与训练营：这是六款里商业天花板最高的一个。B2B 侧，5G 核心网调测、网优故障定位、IMS 排障是典型的高单价外包（单次割接排障报价常以万元计），把它包成"上传 PCAP → 自动出故障定位报告"的轻 SaaS，毛利可观。训练营侧，它是 5G 核心网/网优实战课的天然实验引擎——配合 free5gc+UERANSIM 跑通全流程、用 pcap-generator 造故障、用 pcap-analyzer 破案，正好构成一个"造案—取证—结案"的完整闭环，单期训练营可设置 8–10 个递进实验。竞品对比：市面 NetForensicMCP（基于 tshark 的通用取证）和 mcpmarket 上的 wireshark-analysis、network-packet-analysis-forensics 多停留在通用协议（HTTP/TLS/明文流量）层，pcap-analyzer 在 5G SBA 信令栈上明显更深，是目前少见的电信级取证技能。
来源/安装：仓库内置 AppSec 技能。核心能力：面向一个代码库或路径，自动枚举信任边界、资产、攻击者能力、滥用路径（abuse paths）与缓解措施，最终产出一份简洁的 Markdown 威胁模型文档。它不写代码、不做架构摘要，而是严格围绕"威胁"展开，结构上贴近 STRIDE 与滥用用例（abuse case）范式。
评分：功能 ★★★★☆ / 上手 ★★★☆ / 变现 ★★★★★ / 训练营 ★★★★★ / 社区 ★★★☆。
变现与训练营：威胁模型是安全评估报告里最值钱、也最难量产的章节。把它接到售前流程里，"提交需求 → 半小时出威胁评估初稿 → 人工 30% 润色"，能把传统 3–5 人天的交付压缩到半天，直接拉高咨询人天单价。训练营侧，它天然适配 AppSec / 安全设计评审课程，且 2026 年正是 OWASP Top 10 for Agentic Applications（智能体十大风险：Goal Hijacking、Prompt Injection、工具滥用、数据外泄等）落地的窗口期，用它逐条对照"AI 智能体的信任边界"做教学，时效性极强。竞品对比：Gartner 2026 威胁建模自动化品类里多为 IriusRisk/ThreikModeler 等重型平台，本技能走"agent 原生、轻量 Markdown"路线，互补而非正面竞争。
来源/安装：仓库内置，仅在用户显式请求安全最佳实践审查时触发，限定 Python / JavaScript/TypeScript / Go 三大语言族。核心能力：按语言与框架给出特定（language/framework-specific）的安全最佳实践审查与改进建议，属于"安全编码 lint"的智能体版本。
评分：功能 ★★★★☆ / 上手 ★★★★★ / 变现 ★★★★☆ / 训练营 ★★★★☆ / 社区 ★★★☆。
变现与训练营：六款里上手最易——不需要安全背景，触发即用，适合做成 CI 里的安全 gate 或 IDE 侧边栏的"实时安全教练"。变现上可包装为面向中小团队的"代码安全体检"低客单产品，靠走量；也可嵌入 Snyk/Semgrep 难以覆盖的"业务逻辑安全"语境。训练营侧是安全编码入门课的标准教具，三语言覆盖足够支撑一门 12 课时的课。竞品对比：与 SAST 工具（Snyk、Semgrep、CodeQL）相比，它的优势在"上下文语义建议"而非规则匹配，劣势在确定性——适合做人工审查的初筛前置层。
来源/安装：仓库内置，基于 git 历史构建安全所有权拓扑（people-to-file）。核心能力：计算 bus factor（巴士因子）、敏感代码的所有权集中度、孤立敏感代码（orphaned sensitive code）、CODEOWNERS 现实校验、敏感热点与所有权聚类，最终导出 CSV/JSON，可导入图数据库做可视化。
评分：功能 ★★★★☆ / 上手 ★★★☆ / 变现 ★★★★☆ / 训练营 ★★★☆ / 社区 ★★☆。
变现与训练营：这是六款里差异化最强、竞品最少的一个。它回答的不是"代码有没有漏洞"，而是"这段要命的代码，万一写它的人离职了怎么办"——这是 CISO 和工程负责人真正焦虑的治理问题。变现上适合做成 DevSecOps 治理报告、并购尽调中的代码风险盘点、年度安全审计的"组织风险"章节。训练营侧偏工程治理与"代码考古"，适合面向资深工程师/技术管理的进阶模块。竞品对比：GitHub 自带 Insights/CONTRIBUTORS 只给热度不给"敏感 × 所有权"的交叉视角，本技能的拓扑化输出独此一家。
来源/安装：仓库内置，与 pcap-analyzer 同族。核心能力：按需生成测试报文与场景（正常注册、会话建立失败、超时、字段非法），用于回归测试、压测前置与教学造题。
评分：功能 ★★★★☆ / 上手 ★★★☆ / 变现 ★★★☆ / 训练营 ★★★★☆ / 社区 ★★☆。
变现与训练营：单独看变现偏窄（测试数据生成是个"配角"赛道），但它是训练营的造题引擎——能批量生成不同故障等级的 PCAP 样卷，把"找一份真实的失败报文"从几天压缩到几分钟，直接降低开课成本。和 pcap-analyzer 组成"出题—判题"对子后，商业价值才真正释放。竞品对比：底层多依赖 scapy 的协议构造能力，相比 scapy 的手写脚本，它把"造一个合规的 NGAP InitialUEMessage"变成自然语言一句话。
来源/安装：仓库内置，同 PCAP 三件套。核心能力：对已有报文做字段篡改、重放（replay）、异常注入，模拟重放攻击与协议异常，是渗透测试与协议 Fuzz 的前置工具。
评分：功能 ★★★☆ / 上手 ★★★☆ / 变现 ★★★☆ / 训练营 ★★★☆ / 社区 ★★☆。
变现与训练营：价值在于安全攻防演练——红队用它构造畸形的 PFCP/NAS 报文测试网元健壮性，培训中可作为"攻击注入"实验。但需特别注意合规红线：重放与篡改真实生产报文可能触犯《网络安全法》与运营商安全红线，训练营场景必须限定在隔离的 free5gc/UERANSIM 沙箱内。竞品对比：定位比 scapy 更"场景化"，但功能边界也最需要产品化打磨才能脱离"高级脚本"印象。
mindmap
root((网络取证与安全分析))
报文取证 PCAP
分析解读
pcap-analyzer NGAP/PFCP/NAS/SIP
数据生产
pcap-generator 造故障样卷
攻防注入
pcap-modifier 重放与篡改
实现层知识库
free5gc 5GC 代码库
UERANSIM 模拟基站/终端
应用层安全
威胁建模
security-threat-model STRIDE/滥用路径
编码门卫
security-best-practices Py/JS/Go
组织治理
所有权拓扑
security-ownership-map bus factor
框架对齐
OWASP Top 10 Agentic 2026
3GPP TS 38.413 / 29.244 / 24.501
🥇 变现之王 —— security-threat-model 威胁模型是安全交付物里单价最高、最缺产能的一环，agent 原生 Markdown 产出 + 人工润色，能把咨询人天单价拉到天花板。
🥇 训练营首选 —— pcap-analyzer 5G 核心网信令栈深度无人能及，配合 generator/modifier/free5gc 可搭出完整"造案—取证—结案"闭环，是网优与核心网实战课的发动机。
🥇 上手最易 —— security-best-practices 零安全基础即可触发，三语言覆盖，最适合做成 CI gate 与入门课教具，靠走量变现。
🥇 差异化最强 —— security-ownership-map "敏感代码 × 所有权"的交叉视角独此一家，并购尽调、年度审计、DevSecOps 治理的稀缺弹药。
🥇 攻防演练 —— pcap-modifier 红队与协议健壮性测试的注入器，但务必锁在隔离沙箱内使用。
🥇 数据生产 —— pcap-generator 单看不显眼，却是降低训练营造题成本的关键配角，与 analyzer 成对才值钱。
最佳组合：free5gc + UERANSIM（搭环境）→ pcap-generator（造故障）→ pcap-analyzer（取证定位）→ security-threat-model（出具安全评估），这条链路可同时支撑一门 5G 安全训练营与一条 B2B 调测服务产品线，是本组技能的最高变现形态。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。